Seguridad y red-teaming

Qué tener en cuenta

Las preguntas que distinguen las opciones, por orden de importancia.

1. 01

   Cobertura según el OWASP Top 10 para LLMs

   El OWASP Top 10 for LLM Applications (edición de 2025) es la lista de comprobación común: inyección de prompts, revelación de información sensible, cadena de suministro, envenenamiento de datos y modelos, gestión inadecuada de la salida, exceso de autonomía, fuga del prompt de sistema, debilidades de vectores y embeddings, desinformación y consumo sin límites. Pregunta qué puntos prueba de verdad una herramienta. DeepTeam incluye un preset de OWASP; garak cubre bien los puntos del nivel del modelo, pero no el exceso de autonomía; ninguna herramienta cubre los diez.

2. 02

   Generación de ataques automática y en varios turnos

   Una lista fija de jailbreaks conocidos encuentra debilidades antiguas; los ataques generados contra tu sistema encuentran otras nuevas. Crescendo y TAP de PyRIT escalan a lo largo de varios turnos guiados por un modelo atacante, DeepTeam y promptfoo generan ataques con un LLM, y garak ejecuta una gran biblioteca de sondas publicadas. Los ataques generados cuestan tokens en ambos lados, así que presupuéstalos.

3. 03

   Riesgos de los agentes y las herramientas, no solo del modelo

   En cuanto un modelo puede llamar a herramientas, los fallos peligrosos son el exceso de autonomía, la autorización rota y las instrucciones inyectadas en la salida de las herramientas. Prueba el agente desplegado con sus herramientas reales (las comprobaciones de BOLA, BFLA y envenenamiento de herramientas de DeepTeam, las pruebas de uso peligroso de herramientas de promptfoo, PyRIT contra un endpoint en producción) y revisa los permisos que se dan a cada servidor MCP y a cada herramienta; el mínimo privilegio importa más que cualquier escáner.

4. 04

   Cadena de suministro: fija y analiza lo que instalas

   Los paquetes de IA son ya un objetivo. En marzo de 2026, unos atacantes publicaron en PyPI dos versiones envenenadas de LiteLLM usando credenciales robadas de un mantenedor. Fija versiones y hashes exactos para gateways y SDKs, actualiza de forma deliberada y analiza las dependencias y el código escrito por IA en el mismo pipeline que el resto de tu código. Analiza también los servidores MCP y las skills de los agentes: Snyk Agent Scan revisa las descripciones de las herramientas y las skills en busca de envenenamiento e instrucciones ocultas.

5. 05

   Integración con CI y repetibilidad

   Hacer red teaming una vez antes del lanzamiento no basta; repítelo tras cada cambio de modelo, de prompt o de herramienta. promptfoo está hecho para CI con configuraciones YAML; garak y Snyk Agent Scan son CLIs con salida legible por máquina que puedes automatizar; PyRIT y DeepTeam son bibliotecas de Python que envuelves tú. Fija un conjunto semilla de ataques para que los resultados sean comparables de una ejecución a otra.

6. 06

   Cómo se juzgan los hallazgos

   La mayoría de herramientas deciden si se aprueba o se suspende con un LLM como juez o con un detector, y ambos se equivocan. Comprueba si puedes ver la transcripción completa detrás de cada hallazgo, cambiar el modelo juez y volver a puntuar los resultados guardados. PyRIT guarda cada conversación en una base de datos para volver a puntuarla; garak escribe un registro JSONL de cada intento. Trata un resultado marcado como una pista que hay que confirmar, no como una vulnerabilidad confirmada.

7. 07

   Licencia y tratamiento de los datos

   Todas las herramientas de red teaming de esta lista son de código abierto (MIT o Apache 2.0) y se ejecutan en local, enviando tráfico de ataque solo al modelo al que las apuntas. Snyk Agent Scan es la excepción: envía las descripciones de las herramientas y el contenido de las skills a la API de Snyk para analizarlos. La plataforma alojada de Confident AI, un complemento opcional de DeepTeam, guarda los resultados en el proveedor.

15 herramientas comparadas

Ordenadas por nuestra nota. Abre cualquier reseña para ver las fuentes, los precios y el veredicto completo.

Comparativa de herramientas de Seguridad y red-teaming

Herramienta	Nota	Nuestro veredicto	Ideal para	Precio
promptfoorepo	4.5/5	promptfoo convierte las pruebas de regresión de LLM y los análisis de red team en un archivo YAML y un solo comando de CI; su nuevo propietario es lo que hay que vigilar.	Equipos que lanzan apps de LLM y quieren pruebas de regresión y análisis de seguridad en CI.	CLI gratis y de código abierto (MIT); el uso Community incluye red teaming hasta 10.000 sondeos al mes. Enterprise (nube gestionada) y On-Premise se presupuestan.
Inspectrepo	4.4/5	Inspect es el entorno de pruebas compartido de las evaluaciones de seguridad de IA gubernamentales e independientes; los equipos de producto que comprueban prompts en CI lo encontrarán más framework de lo que necesitan.	Investigadores y equipos de seguridad que ejecutan evaluaciones de agentes y de capacidades.	Gratuito y de código abierto bajo la licencia MIT.
Anthropic Sandbox Runtime (srt)repo	4.4/5	A tu agente de programación se le puede convencer de cualquier cosa; al sistema operativo no, y srt pone al sistema operativo al mando.	Cualquier desarrollador que ejecute un agente de programación en su propia máquina, como primera capa de protección.	Gratuito y de código abierto con licencia Apache 2.0.
Trail of Bits Skillsrepo	4.4/5	Un prompt genérico de "busca problemas de OWASP" es una conjetura; esto es cómo busca bugs de verdad una empresa de auditoría en activo, puesto por escrito para tu agente.	Equipos que quieren una revisión de seguridad estructurada y creíble de su agente de programación antes de merges arriesgados.	Gratuito con CC BY-SA 4.0.
garakrepo	4.3/5	El escáner abierto de referencia para las debilidades a nivel de modelo: ejecútalo antes del lanzamiento y tras cada cambio de modelo, pero no lo confundas con una prueba de las herramientas y los permisos de tu agente.	Equipos que quieren un escaneo de vulnerabilidades repetible, a nivel de modelo, de un endpoint de LLM antes del lanzamiento y tras cada cambio de modelo.	Gratuito y de código abierto bajo Apache 2.0. Solo pagas las llamadas al modelo que hace un escaneo.
PyRITrepo	4.2/5	PyRIT automatiza las conversaciones lentas y escalonadas que hacen ceder a los chatbots, siempre que alguien del equipo escriba el Python que lo maneja.	Ingenieros de seguridad que necesitan someter a fondo chatbots y agentes a red teaming, incluidas escaladas de varios turnos y front ends web.	Gratis y de código abierto bajo MIT. Pagas las llamadas a modelos que usan los ataques y los scorers basados en LLM.
security-guidance plugin (Claude Code)repo	4.2/5	Para quien usa Claude Code es una mejora de seguridad a un comando de distancia, con un revisor que no se pone nota a sí mismo.	Usuarios de Claude Code que quieren una revisión de seguridad en cada cambio sin configurar nada.	Plugin gratuito con licencia Apache 2.0; las dos revisiones basadas en modelos consumen tu uso de Claude o de la API.
NVIDIA OpenShellrepo	4.1/5	Un sandbox de agentes pesado, pensado para agentes que dejas funcionando sin supervisión, no para los que vigilas sentado delante.	Equipos que ejecutan agentes sin supervisión o sobre código no fiable y necesitan reglas de red por host y por método.	Gratis y de código abierto bajo Apache 2.0.
ToolHiverepo	4.1/5	Los escáneres te dicen si un servidor MCP parece peligroso; ToolHive limita lo que puede hacer si lo es.	Equipos de plataforma y seguridad que necesitan ejecutar, aislar y auditar servidores MCP en toda una empresa.	Código abierto con Apache 2.0; Stacklok Enterprise añade funciones y soporte, con precio a consultar.
OpenSandboxrepo	4.1/5	Una alternativa autoalojada a los sandboxes de código alojados, que compensa el trabajo con Kubernetes cuando necesitas miles de entornos de agente efímeros en tus propias máquinas.	Equipos de plataforma que ejecutan evaluaciones de agentes, rollouts de RL o ejecución de código multiinquilino y quieren los sandboxes en su propia infraestructura.	Gratis y de código abierto bajo Apache 2.0; los mantenedores no ofrecen edición de pago.
CC Safety Netrepo	4.0/5	El cinturón de seguridad para el daño que un sandbox permite a propósito: force-pushes, hard resets y rm -rf dentro de tu propio proyecto.	Cualquiera que deje a un agente de programación ejecutar comandos de shell sin aprobar cada uno.	Gratuito y de código abierto bajo MIT.
DeepTeamrepo	3.9/5	El catálogo más amplio de vulnerabilidades de agentes y aplicaciones en una biblioteca abierta de red teaming, pero cada veredicto depende de un LLM juez que tendrás que comprobar.	Equipos de Python que construyen agentes y quieren una cobertura de red teaming alineada con OWASP que puedan ejecutar en local.	Gratuito y de código abierto con Apache 2.0. La plataforma de Confident AI va de un nivel gratuito a 200 $ y 2.000 $ al mes; su módulo de red teaming es un complemento Enterprise con precio a medida.
Cloudflare Security Audit Skillrepo	3.9/5	Esa rara herramienta de auditoría con IA que da por hecho que sus propios hallazgos son erróneos hasta que otro agente no consigue tumbarlos.	Equipos de seguridad que auditan un código y quieren hallazgos verificados en lugar de una larga lista de posibilidades.	Gratuita bajo MIT; las auditorías consumen muchos tokens de modelo.
Snyk Agent Scanrepo	3.8/5	Una primera comprobación sensata de los servidores MCP y las skills en los que confían tus agentes, siempre que aceptes enviar sus descripciones a Snyk y escanees las configuraciones no fiables en un sandbox.	Equipos que permiten a desarrolladores o agentes instalar servidores MCP y skills y quieren una comprobación de cadena de suministro antes de confiar en ellos.	Gratuito y de código abierto con licencia Apache 2.0; necesita una cuenta de Snyk y un token de API. El escaneo en segundo plano de toda la flota informa a Snyk Evo, con precio bajo petición.
Cisco Skill Scannerrepo	3.7/5	Merece la pena ponerlo delante de tu repositorio de skills, siempre que te creas sus propias cifras: detecta lo evidente, no todo.	Equipos con un repositorio interno de skills que quieren un filtro de escaneo antes de que nada llegue a los desarrolladores.	Gratuito bajo Apache 2.0; los analizadores LLM y en la nube opcionales se facturan a través de sus propios proveedores.

Lado a lado

Las especificaciones que importan en este paso. Comprobado el 19 oct 2026; confírmalo en la web del proveedor antes de decidirte.

Conéctalo a tu agente

Servidores MCP que permiten a asistentes como Claude, ChatGPT y Cursor usar estas herramientas directamente.

• Snyk MCP Server (Snyk Studio) 4.0
• Jev MCP 4.3
• Semgrep MCP 4.3

Dónde encaja esta etapa

• Chatea con tus documentos: empezaríamos con promptfoo.
• Agente de atención al cliente: empezaríamos con promptfoo.
• Agente de programación: empezaríamos con Snyk MCP Server (Snyk Studio), promptfoo.
• Asistente con memoria a largo plazo: empezaríamos con promptfoo.
• Agente de voz: empezaríamos con promptfoo.
• Procesamiento de documentos: empezaríamos con Snyk MCP Server (Snyk Studio).
• Tu propio modelo con fine-tuning: empezaríamos con promptfoo.

Fuentes de esta guía

• OWASP Top 10 for LLM Applications 2025
• garak on GitHub
• PyRIT documentation (1.1.0)
• DeepTeam OWASP Top 10 docs
• Snyk Agent Scan on GitHub
• Datadog Security Labs: LiteLLM compromised on PyPI